PHPに2件の脆弱性が発覚、修正は21日14時(UTC)の公開予定で、Wikipedia、Slack、Spotifyなど多数のサイトに影響の恐れ

Polygonは、PHPで2件の脆弱性が見つかり、Wikipedia、Slack、Spotifyなど多くの有名サイトが影響を受ける恐れがあると報じました。修正パッチの提供は日本時間ではなく、10月21日(水)午後2時(UTC)の予定で、それまでの間は脆弱性が残った状態になります。

発覚した脆弱性の内容

報道によると、正体不明の人物が、PHPに存在する2件の脆弱性の存在を公にしました。理論上は、認証や資格情報がなくても、外部から任意のコードを実行できてしまう可能性があるとのことです。

悪用された場合、攻撃者が情報を自由に消去したり、サイトを経由して標的を攻撃するスクリプトを仕込んだりできるおそれがあります。システムをロックして身代金を要求する使い方も考えられるとされており、原文は被害の可能性を「果てしなく恐ろしい」と表現しています。

PHPとは何か

PHPは、インターネットの裏側で広く使われているバックエンド技術です。原文は単純化した説明と断った上で、サーバーがWebページの作成に必要な情報を取り出して配信する仕組みを支えていると解説しています。静的なHTMLで作られたサイトが、ユーザーの入力に応じて内容を変えられるのも、PHPがサイトのロジックと配信を担っているためです。

原文は、ネット上のかなりの割合のサイトがPHPを使っていることを押さえておけばよいとしています。WordPress全体も危険にさらされており、同プラットフォームは世界のサイトの約4分の1を支えていると推定されています。

影響を受けるサイトと現在の状況

PHP Foundationは脆弱性の修正に取り組んでいるものの、提供は10月21日午後2時(UTC)になるとしています。影響を受けるサイトには、その時刻の更新に向けた準備をするよう勧告が出ています。

原文によると、Something Awful、DeviantArt、Fur Affinityなどが、完全にオフラインになったか、読み取り専用モードで運用されています。なお、原文にはここで文が欠けている箇所があり、ほかにどのサイトが該当するかは確認できません。地域の医療機関、国の公共サービスや公共インフラのサイトでも、同様の対応が広がっているとのことです。

Amazon Web Servicesなどのホスティング事業者の利用サイトには、すでに問題が通知されています。Cloudflareなどは緊急の保護策を展開中です。

すでに攻撃の動きも

原文は、ボットネットがインターネット上を走査して攻撃対象を探しており、すでに脆弱性を悪用しようとする動きがある証拠があると伝えています。そのため、お気に入りのサイトが水曜日に完全に停止していても驚かないほうがよい、というのが原文筆者の見立てです。